vps 有异常下载流量，但是查不出来

[redbeanzzZ]

用来科学上网的 vps 是 centos 8 。在控制台发现每分钟下行都会固定有 1.5MB 左右流量。
ssh 连上去装了个 nload 发现下行确实固定 200kBit/s 左右速度。
用 iftop 查看单个 IP 的速度，又找不到这个异常速度具体是哪里来的。

之前有过类似情况在 iftop 里能明确看到哪个 IP 在偷跑，那个 IP 当时是不熟悉的，被我直接 ban 了。

现在 iftop 里找不到哪个进程是异常的了。求大佬支援

[redbeanzzZ]

控制台上监控，硬盘 IO 读基本都是 0 ，每分钟都会有几百次写的 IO

[azuginnen]

netstat -tulpen
可以看一共哪些端口开了，挨个屏蔽一下，或者直接抓包，在没有流量的时候抓包，导入 wireshark 里面排列出来看一下。

[dann73580]

不排除内网 arp 风暴或者有人轮段，流量漏进来了。未必是你的机器有什么问题。

[redbeanzzZ]

@dann73580 用 tcpdump 看网络包的时候，有类似这种
21:45:59.094598 ARP, Request who-has 45.14.64.189.static.xtom.com tell 45.14.64.1.static.xtom.com, length 46 的包，这种是你说的 arp 风暴吗？

[redbeanzzZ]

@dann73580 应该就是这个原因，我提交下工单反馈下。感谢！